Kernel: Security-Entwickler fühlt sich von Linux-Community zermalmt

Der Security-Entwickler Alexander Popov berichtet auf dem Open Source Summit von seiner Zusammenarbeit mit der Linux-Kernel-Community. Er fühle sich dabei wie zwischen Mühlsteinen zermalmt. Das liege wohl auch daran, dass die Community zwischen normalen Menschen und Security-Leuten trenne.

Artikel veröffentlicht am ,
Alexander Popov sucht Sicherheitslücken in Linux.
Alexander Popov sucht Sicherheitslücken in Linux. (Bild: The Linux Foundation)

Sicherheitspatches und generelle Verbesserungen am Linux-Kernel, die vor bestimmten Angriffen schützen sollen, werden von der Linux-Community nicht anders behandelt als alle anderen Änderungen am Kernel auch. Das ist vor allem auf eine generelle Einstellungen der Kernel-Betreuer zurückzuführen - allen voran Linux-Projektgründer und -Leiter Linus Torvalds. Der Sicherheitsexperte und Kernel-Entwickler Alexander Popov hat dies auf dem Open Source Summit in Edinburgh so kommentiert, dass er sich dabei jedoch wie zwischen Mühlsteinen zerdrückt fühle.

Stellenmarkt
  1. Data Analyst (m/w/d) im Financial Advisory
    IVC Independent Valuation & Consulting AG, Essen
  2. Trainer (m/w/d) für Software-Qualitätssicherung
    imbus AG, Möhrendorf
Detailsuche

Popov führt das unter anderem auch darauf zurück, dass es in der Kernel-Community einen Unterschied gebe zwischen "normalen Menschen und Security-Entwicklern". Diese Trennung führe immer wieder zu tiefgreifenden Problemen und Auseinandersetzungen in Bezug auf die Herangehensweise bei der Linux-Entwicklung. Dass die Sicherheitsentwickler des Patch-Sets Grsecurity oder auch die Beteiligten des Kernel Self Protecting Project (KSPP) immer wieder vom Rest der Kernel-Community kritisiert werden, nimmt Popov inzwischen offenbar aber resigniert hin. "Das ist halt unser Leben, und das ist okay", sagt Popov.

Monatelange Arbeit an einer Funktion

Der Entwickler arbeitet für die Sicherheitsexperten von Positive Technologies, die vor allem im vergangenen Jahr teilweise gravierende Sicherheitslücken in Intels ME aufgefunden haben. Popov selbst sucht eigentlich nach möglichen Sicherheitslücken in Linux und nach Wegen, diese auszunutzen. Seit April 2017 versucht Popov darüber hinaus aber auch, eine der Sicherheitstechniken von Grsecurity so aufzuarbeiten, dass diese in den sogenannten Mainline-Kernel eingepflegt werden kann, also den Hauptzweig der Linux-Entwicklung.

Diese Arbeiten sind immer noch nicht offiziell abgeschlossen, auch wenn sich diese inzwischen absehbar dem Ende nähern. Der Code von Popov befindet sich inzwischen in Linux-Next und sollte mit der kommenden Version 4.20 eingepflegt werden, dessen Entwicklungsphase gerade erst offiziell beginnt. Der Weg dahin war aber alles andere als einfach und Popov war eigenen Angaben zufolge mehrmals kurz davor, die Arbeiten daran aufzugeben.

Golem Akademie
  1. Unreal Engine 4 Grundlagen: virtueller Drei-Tage-Workshop
    28. Februar–2. März 2022, Virtuell
  2. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    15.–17. März 2022, Virtuell
Weitere IT-Trainings

Als Popov im vergangenen Jahr glaubte, die Patches seien inzwischen soweit gediehen, dass diese eingepflegt werden könnten, ist der Code von Torvalds "niedergebrannt" worden, wie Popov in einem Vortrag beim Linux Security Summit sagte. Nach dieser Interaktion habe sich der Entwickler "für mehrere Wochen emotional tot" gefühlt. Nur mit Unterstützung seiner Frau habe Popov dann daran arbeiten können, die in den E-Mails geäußerten persönlichen Angriffe von der technischen Kritik trennen zu können, um sich weiter auf seine Arbeit zu konzentrieren.

Wenig Wertschätzung und große Irritationen

Popov geht aber weiter davon aus, dass seine Arbeit und die anderer Security-Entwickler nicht wertgeschätzt werde. Möglicherweise seien die Fortschritte zum Härten des Kernels auch eine große Irritation für Torvalds und andere, sodass damit auch die Wahrscheinlichkeit steige, dass die Patches dafür schlicht abgelehnt würden. Der Grund dafür, dass diese Irritation entsteht, könnte laut Popov sein, dass die Security-Entwickler eben von den normalen Leuten getrennt sind, wie er den Rest der Kernel-Community nennt.

Um diese Spaltung zu überwinden, schlägt der Sicherheitsexperte vor, möglicherweise mit einer Roadmap zu arbeiten, die die Pläne für das Härten des Kernels besser darstellen und so für andere leichter nachvollziehbar machen. Außerdem hätte Popov gern eine Art Auflistung von akzeptierten Verhaltensweisen, die sich die normalen Maintainer von den Sicherheitsentwicklern wünschen. Auch damit sollen die Irritationen offenbar vermieden oder wenigstens verringert werden.

Noch glaubt Popov zwar, dass dieses Vorgehen helfen könnte, ist sich aber nicht sicher, ob dies auch tatsächlich umsetzbar ist. Wahrscheinlicher sei wohl eher, dass große Unternehmen und Organisationen die Umsetzung bestimmter Sicherheitsfunktionen einfordern, was in Teilen bereits passiert. Bis sich die Situation von Popov und seinen Mitstreitern grundsätzlich ändert, genießt er noch die "Freude am Kampf", wie er selbst sagt. Das klingt glücklicherweise nicht so, als hätte Popov seine Motivation an der Arbeit verloren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


janoP 29. Okt 2018

Persönlich kenne ich keinen der Beteiligten, ich schätze es von außen aber so ein, dass...

demon driver 27. Okt 2018

Es wurde also etwas in den Kernel einzubringen versucht, was behebbare Mängel in der...

mnementh 26. Okt 2018

Was denn, Popov hat durch die Diskussion eine bessere Lösung gefunden. Und dann war da...

mnementh 26. Okt 2018

Ich unterstütze diese kompromisslose Haltung. Nur was hat das mit dem Artikel zu tun...

Anonymer Nutzer 26. Okt 2018

Beim "Verteidigen zivilisierter Normen" - wie Du es so schön ausdrückst - kommt es...



Aktuell auf der Startseite von Golem.de
Microsoft
Sony äußert sich zur Übernahme von Activision Blizzard

Rund 20 Milliarden US-Dollar haben die Aktien von Sony verloren. Nun hat der Konzern erstmals den Kauf von Activision Blizzard kommentiert.

Microsoft: Sony äußert sich zur Übernahme von Activision Blizzard
Artikel
  1. Parallel Systems: Ehemalige SpaceX-Mitarbeiter entwickeln neuartige Güterzüge
    Parallel Systems
    Ehemalige SpaceX-Mitarbeiter entwickeln neuartige Güterzüge

    Das Startup Parallel Systems will konventionelle Züge durch modulare Fahrzeuge mit eigenem Antrieb und Energieversorgung ersetzen.

  2. Digitale-Dienste-Gesetz: Europaparlament will Nutzertracking stark einschränken
    Digitale-Dienste-Gesetz
    Europaparlament will Nutzertracking stark einschränken

    Das Europaparlament hat den Entwurf des Digitale-Dienste-Gesetzes verschärft. Ein Komplettverbot personalisierter Werbung soll es aber nicht geben.

  3. Jahresbilanz: Durch das Vodafone-Kabelnetz liefen 48 Exabyte
    Jahresbilanz
    Durch das Vodafone-Kabelnetz liefen 48 Exabyte

    Unser neues Leben spielt sich tagsüber bei Microsoft Teams ab. Dann verlagern sich die Datenströme in Richtung der Server von Netflix und Amazon.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED (2021) 40% günstiger (u.a. 65" 1.599€) • WD Black 1TB SSD 94,90€ • Lenovo Laptops (u.a. 17,3" RTX3080 1.599€) • Gigabyte Mainboard 299,82€ • RTX 3090 2.399€ • RTX 3060 Ti 799€ • MindStar (u.a. 32GB DDR5-6000 389€) • Alternate (u.a. Samsung LED TV 50" 549€) [Werbung]
    •  /